OpenVPN ನ user ಡ್ರಾಪ್ ಮೇಲೆ systemd ಹಾರ್ಡನಿಂಗ್ ಅನ್ನು ಒಟ್ಟುಗೂಡಿಸಬೇಡಿ

ಒಟ್ಟಿಗೆ ಅಂಟಿಸಿದ ಕನಿಷ್ಠ ಸವಲತ್ತಿನ ಎರಡು ಪಾಕವಿಧಾನಗಳು ಇನ್ನೂ ಕಟ್ಟುನಿಟ್ಟಾದ ನಿಯೋಜನೆಯನ್ನು ನೀಡುವುದಿಲ್ಲ. ಒಂದು ಮಾದರಿ ಡೀಮನ್‌ಗೆ ಸವಲತ್ತುಗಳೊಂದಿಗೆ ಪ್ರಾರಂಭಿಸಿ ಆರಂಭಿಕೀಕರಣದ ನಂತರ ಸವಲತ್ತಿಲ್ಲದ ಖಾತೆಗೆ ಇಳಿಯಲು ಅವಕಾಶ ನೀಡುತ್ತದೆ; ಇನ್ನೊಂದು ಸೇವಾ ವ್ಯವಸ್ಥಾಪಕನಿಗೆ ಮೊದಲ ಸೂಚನೆಯಿಂದಲೇ ಸೀಮಿತ ಗುರುತಿನ ಅಡಿಯಲ್ಲಿ ಅದನ್ನು ಚಾಲನೆ ಮಾಡಲು ಅವಕಾಶ ನೀಡುತ್ತದೆ. ಪ್ರತಿಯೊಂದೂ ತನ್ನಷ್ಟಕ್ಕೆ ಕೆಲಸ ಮಾಡುತ್ತದೆ, ಮತ್ತು ಎರಡರ ಸಂಯೋಜನೆ ಹೆಚ್ಚಾಗಿ ಎರಡೂ ಕೆಲಸಗಳಲ್ಲಿ ಒಂದನ್ನೂ ಸ್ವಚ್ಛವಾಗಿ ಮಾಡಲಾಗದ ಸೇವೆಯನ್ನು ಸೃಷ್ಟಿಸುತ್ತದೆ. ಉಳಿದ ಭಾಗವು ನಿರ್ಣಯವನ್ನು ಕ್ರಮವಾಗಿ ನಡೆಸುತ್ತದೆ.

ಎರಡು ಮಾದರಿಗಳು, ಬದಲಾವಣೆಯ ಒಬ್ಬ ಮಾಲೀಕ

ಮೊದಲ ಮಾದರಿ ಡೀಮನ್‌ನದು. ಸಮುದಾಯ OpenVPN ನ user ಮತ್ತು group ಆಯ್ಕೆಗಳು ಸುರಂಗ ಮತ್ತು ಕೀಲಿಗಳನ್ನು ಸಿದ್ಧಪಡಿಸಿದ ನಂತರ ಗುರುತನ್ನು ಬದಲಿಸುತ್ತವೆ, ಮತ್ತು persist-key ಜೊತೆಗೆ persist-tun ಆ ಸಂಪನ್ಮೂಲಗಳನ್ನು ನಂತರವೂ ಬಳಸಬಹುದಾದಂತೆ ಇಡುತ್ತವೆ.

ಎರಡನೇ ಮಾದರಿ ಸೇವಾ ವ್ಯವಸ್ಥಾಪಕನದು. systemd ನ User= ಅಥವಾ Group= ಸೆಟ್ಟಿಂಗ್ ಪ್ರಕ್ರಿಯೆ ಯಾವ ಗುರುತಿನ ಅಡಿಯಲ್ಲಿ ಪ್ರಾರಂಭವಾಗುತ್ತದೆ ಎಂಬುದನ್ನು ನಿರ್ಧರಿಸುತ್ತದೆ, ಮತ್ತು ಸಾಮರ್ಥ್ಯ ಸೂಚನೆಗಳು ಅದು ಏನನ್ನು ಇಟ್ಟುಕೊಳ್ಳಬಹುದು ಎಂಬುದನ್ನು ನಿರ್ಧರಿಸುತ್ತವೆ. ಮಾದರಿಗಳ ನಡುವಿನ ಆಯ್ಕೆ ಭದ್ರತಾ ಪ್ರಶ್ನೆಯಾಗುವ ಮೊದಲು ಪ್ಯಾಕೇಜಿಂಗ್ ಪ್ರಶ್ನೆಯಾಗಿದೆ, ಮತ್ತು ಪ್ಯಾಕೇಜ್ ನಿರ್ವಾಹಕರು ಅದಕ್ಕೆ ಈಗಾಗಲೇ ಉತ್ತರಿಸಿದ್ದಾರೆ. ನಿಮ್ಮ ಕೆಲಸ ಮೂರನೇ ಆಯ್ಕೆಯನ್ನು ಕಲ್ಪಿಸುವುದಲ್ಲ, ಆ ಉತ್ತರವನ್ನು ಕಂಡುಹಿಡಿಯುವುದು.

ಎರಡೂ ಕಾನೂನುಬದ್ಧ. ತಪ್ಪು ಎಂದರೆ ಅವುಗಳನ್ನು ಒಂದೇ ವಿನ್ಯಾಸದ ಪದರಗಳೆಂದು ಪರಿಗಣಿಸುವುದು, ಏಕೆಂದರೆ ಎರಡನೇ ಮಾದರಿ ಮೊದಲನೆಯ ಗುರುತು ಬದಲಾವಣೆಯನ್ನು ಪ್ರಕ್ರಿಯೆಗೆ ಇನ್ನು ಅನುಮತಿಸದ ಕಾರ್ಯಾಚರಣೆಯಾಗಿಸಬಹುದು.

ಗುರುತು ಎಲ್ಲಿ ಬದಲಾಗುತ್ತದೆ ಎಂಬುದನ್ನು ನಿರ್ಧರಿಸಿ

ಘಟಕವು ಈಗಾಗಲೇ ಮೀಸಲಾದ ಖಾತೆಯಾಗಿ ಪ್ರಾರಂಭವಾದರೆ, ಡೀಮನ್‌ಗೆ ಬೇರೆ ಖಾತೆಯಾಗುವಂತೆ ನೀಡುವ ಸೂಚನೆ ಕಠಿಣಗೊಳಿಸಿದ ಸೇವೆ ಎಂದೂ ಮಾಡಬಾರದ setuid ಪರಿವರ್ತನೆಯನ್ನು ಕೇಳುತ್ತದೆ. ವೈಫಲ್ಯವು ಪ್ರಾರಂಭದಲ್ಲಿ ಅನುಮತಿ ದೋಷವಾಗಿ ಕಾಣಿಸುತ್ತದೆ, ಸ್ಪಷ್ಟ ನೀತಿ ಸಂದೇಶವಾಗಿ ಅಲ್ಲ. ಇದು ಕಾಣೆಯಾದ ಸಾಮರ್ಥ್ಯದಂತೆ ಓದುತ್ತದೆ, ಇದು ಜನರನ್ನು ಗುರುತಿನ ಪ್ರಶ್ನೆಯತ್ತ ಅಲ್ಲ, ಹೆಚ್ಚು ಅಗಲವಾದ ಮಿತಿ ಗಣದತ್ತ ತಳ್ಳುತ್ತದೆ.

ಏನನ್ನಾದರೂ ಸಂಪಾದಿಸುವ ಮೊದಲು ಸ್ಥಾಪಿತ ಪ್ಯಾಕೇಜ್ ನಿಜವಾಗಿ ಏನನ್ನು ಒದಗಿಸುತ್ತದೆ ಎಂಬುದನ್ನು ಓದಿ, ಅದರ drop-in ಕೋಶ ಸೇರಿದಂತೆ. ಕೆಲವು ಘಟಕಗಳು ಡೀಮನ್‌ನ ಸ್ವಂತ ಇಳಿತವನ್ನು ಉದ್ದೇಶಪೂರ್ವಕವಾಗಿ ಬಿಟ್ಟುಬಿಡುತ್ತವೆ ಏಕೆಂದರೆ ವ್ಯವಸ್ಥಾಪಕರು ಅದನ್ನು ಈಗಾಗಲೇ ನಿರ್ವಹಿಸುತ್ತಾರೆ, ಮತ್ತು ಕೆಲವು ಆರಂಭಿಕೀಕರಣದ ನಂತರದ ಬದಲಾವಣೆಗೆ ಆ ಆಯ್ಕೆಗಳನ್ನು ಅವಲಂಬಿಸಿವೆ. ಯಾವ ಮಾದರಿ ವಾರಸುದಾರರಾಗಿ ಬಂದಿದೆ ಎಂದು ತಿಳಿಯದೆ ಒಂದನ್ನು ತೆಗೆದುಹಾಕುವುದು ಕೆಲಸ ಮಾಡುತ್ತಿದ್ದ ಸೇವೆ ಪ್ರಾರಂಭವಾಗುವುದನ್ನು ನಿಲ್ಲಿಸುವ ದಾರಿ.

ಆಯ್ಕೆ ಮಾಡಿದ ಮಾದರಿಯನ್ನು ಒಂದು ಸಾಲಿನಲ್ಲಿ ಬರೆಯಿರಿ: ವ್ಯವಸ್ಥಾಪಕ-ಮಾಲೀಕತ್ವ ಅಥವಾ ಡೀಮನ್-ಮಾಲೀಕತ್ವ. ಮುಂದಿನ ಪ್ರತಿ ಸೂಚನೆಯು ಆ ವಾಕ್ಯಕ್ಕೆ ಹೊಂದಿಕೆಯಾಗಿರಬೇಕು, ಮತ್ತು ಮಿಶ್ರ ಘಟಕವನ್ನು ರಾಜಿಯಲ್ಲ, ದೋಷವೆಂದು ಪರಿಗಣಿಸಬೇಕು.

ಸಾಮರ್ಥ್ಯಗಳು ಮಿತಿಗಳು, ಅನುದಾನಗಳಲ್ಲ

ಸಾಮರ್ಥ್ಯ ಮಿತಿ ಗಣವು ಪ್ರಕ್ರಿಯೆ ಗರಿಷ್ಠ ಏನನ್ನು ಇಟ್ಟುಕೊಳ್ಳಬಹುದು ಎಂದು ಹೇಳುತ್ತದೆ. ಅದು ಒಂದು ಚಾವಣಿ, ಮತ್ತು ಅಲ್ಲಿ ಸಾಮರ್ಥ್ಯವನ್ನು ಪಟ್ಟಿ ಮಾಡುವುದು ತನ್ನಷ್ಟಕ್ಕೆ ಏನನ್ನೂ ಕೊಡುವುದಿಲ್ಲ, ಆದ್ದರಿಂದ ಉದಾರ ಮಿತಿ ಗಣವಿರುವ ಘಟಕವೂ ಸುರಂಗವನ್ನು ಸೃಷ್ಟಿಸಲು ವಿಫಲವಾಗಬಹುದು.

ಸಾಮರ್ಥ್ಯವನ್ನು ಸೇವೆಯ ಸುತ್ತಲಿನ ಗಣಕ್ಕೆ ನಿಜವಾಗಿ ಇಡುವುದು AmbientCapabilities=. systemd ಕಾರ್ಯನಿರ್ವಾಹಕ ಉಲ್ಲೇಖ ಎರಡು ಸೂಚನೆಗಳನ್ನು ಪ್ರತ್ಯೇಕವಾಗಿ ದಾಖಲಿಸುತ್ತದೆ, ಮತ್ತು ಈ ವ್ಯತ್ಯಾಸವೇ ಆನ್‌ಲೈನ್‌ನಲ್ಲಿ ಸಾಮರ್ಥ್ಯಗಳ ಬಗ್ಗೆ ಇರುವ ಗೊಂದಲದ ಸಲಹೆಗಳ ಬಹುಪಾಲನ್ನು ವಿವರಿಸುತ್ತದೆ.

ವಿಫಲವಾಗುತ್ತಿರುವ ಕಾರ್ಯಾಚರಣೆ ಅದನ್ನು ಗುರುತಿಸಿದ ನಂತರವೇ ಸಾಮರ್ಥ್ಯ ಸೇರಿಸಿ. ಅಗಲವಾದ ಮಿತಿ ಗಣವು ನಿಜವಾದ ಕಾರಣವನ್ನು ಮರೆಮಾಡಿ ಸೇವೆಯನ್ನು ವಿನ್ಯಾಸ ಉದ್ದೇಶಿಸಿದ್ದಕ್ಕಿಂತ ಹೆಚ್ಚು ಸವಲತ್ತಿನಲ್ಲಿಡುತ್ತದೆ. ಅದು ಘಟಕದ ಪರಿಶೀಲನೆಯನ್ನೂ ಕಷ್ಟಗೊಳಿಸುತ್ತದೆ, ಏಕೆಂದರೆ ಚಾವಣಿ ಇನ್ನು ಕೆಲಸವನ್ನು ವಿವರಿಸುವುದಿಲ್ಲ. ನಿಜವಾದ ದೋಷ ಸರಿಪಡಿಸಿದ ನಂತರ ಹೆಚ್ಚುವರಿ ಸಾಮರ್ಥ್ಯವನ್ನು ತೆಗೆದುಹಾಕಿ.

ಜೀವನಚಕ್ರದುದ್ದಕ್ಕೂ ಅಧಿಕಾರವನ್ನು ನಕ್ಷೆ ಮಾಡಿ

ಪ್ರತಿ ಹಂತದಲ್ಲಿ ಪ್ರಕ್ರಿಯೆ ಏನು ಮಾಡಬೇಕು ಎಂಬುದನ್ನು ಪಟ್ಟಿ ಮಾಡಿ: ಪ್ರಾರಂಭ, ಸ್ಥಿರ ಸ್ಥಿತಿ, ಮರುದೃಢೀಕರಣ ಮತ್ತು ವಿಸರ್ಜನೆ. ಇಂಟರ್ಫೇಸ್ ರಚನೆ, ಮಾರ್ಗ ಬದಲಾವಣೆಗಳು, ಸಂರಕ್ಷಿತ ಕೀಲಿಯ ಓದುವಿಕೆ ಮತ್ತು ಸಹಾಯಕರ ಕರೆ ಎಲ್ಲವೂ ಒಂದೇ ಕ್ಷಣದಲ್ಲಿ ಅಥವಾ ಒಂದೇ ಅಗತ್ಯಗಳ ಅಡಿಯಲ್ಲಿ ಸಂಭವಿಸುವುದಿಲ್ಲ. ಪಟ್ಟಿಯನ್ನು ಸಾಮರ್ಥ್ಯದ ಪ್ರಕಾರ ಜೋಡಿಸುವ ಮೊದಲು ಹಂತದ ಪ್ರಕಾರ ಜೋಡಿಸಿ.

ಸ್ಥಿರತೆಯ ಆಯ್ಕೆಗಳು ಮರುಮಾತುಕತೆಗಳ ನಡುವೆ ಸಂಪನ್ಮೂಲಗಳನ್ನು ಉಳಿಸುತ್ತವೆ, ಮತ್ತು ಎಂದೂ ಇರದ ಅನುಮತಿಗಳನ್ನು ನೀಡುವುದಿಲ್ಲ. ಪ್ರಾರಂಭದಲ್ಲಿ ಪ್ರಕ್ರಿಯೆ ಓದಲಾಗದ ಕೀಲಿ ನಂತರವೂ ಓದಲಾಗದೇ ಇರುತ್ತದೆ, ಸ್ಥಿರತೆಯ ಧ್ವಜಗಳು ಏನೇ ಹೇಳಿದರೂ. ಧ್ವಜಗಳು ಈಗಾಗಲೇ ಕೆಲಸ ಮಾಡಿದ್ದನ್ನು ಉಳಿಸುತ್ತವೆ.

ಹಂಚಿಕೊಂಡದ್ದಲ್ಲ, ಮೀಸಲಾದ ಖಾತೆಯನ್ನು ಬಳಸಿ. OpenVPN ನ ಅಭಿವರ್ಧಕರು nobody ಅನ್ನು ಸಾಮಾನ್ಯ ಉದಾಹರಣೆಯಾಗಿ ಬಳಸುವ ಅಭ್ಯಾಸದ ವಿರುದ್ಧ ಎಚ್ಚರಿಸುತ್ತಾರೆ, ಏಕೆಂದರೆ ಹೋಸ್ಟ್‌ನಲ್ಲಿನ ಇತರ ಸೇವೆಗಳು ಈಗಾಗಲೇ ಆ ಖಾತೆಯಲ್ಲಿ ಚಲಿಸುತ್ತಿರಬಹುದು ಮತ್ತು ನೀವು ಭಾವಿಸುವ ಪ್ರತ್ಯೇಕತೆ ಅಲ್ಲಿಲ್ಲ.

ಸ್ಥಳೀಯ ಹೊರೆಯನ್ನು ಬದಲಿಸುವ ವೈಶಿಷ್ಟ್ಯಗಳು, ಉದಾಹರಣೆಗೆ ಡೇಟಾ-ಚಾನೆಲ್ ಆಫ್‌ಲೋಡ್ ಅಥವಾ ಬೇರೆ ರೀತಿಯಲ್ಲಿ ಲಿಂಕ್ ಆಗುವ ಬಿಲ್ಡ್, ಯಾವ ಕಾರ್ಯಾಚರಣೆಗಳು ಬೇಕು ಎಂಬುದನ್ನು ಬದಲಿಸಬಹುದು. ಪ್ಯಾಕೇಜ್ ಬದಲಾದಾಗ ನಕ್ಷೆಯನ್ನು ಪರಿಶೀಲಿಸಿ, ಏನಾದರೂ ಮುರಿದಾಗ ಮಾತ್ರವಲ್ಲ.

ಯೋಜನೆಯನ್ನು ಬರೆದಿಡಿ ಮತ್ತು ಪುನಃಪ್ರಾಪ್ತಿ ಪ್ರವೇಶವನ್ನು ಉಳಿಸಿಕೊಳ್ಳಿ

ನಿಯೋಜನಾ ದಾಖಲೆಯು ವ್ಯವಸ್ಥಾಪಕ, ಪ್ರಾರಂಭದ ಗುರುತು, ಉದ್ದೇಶಿತ ಸ್ಥಿರ ಗುರುತು ಮತ್ತು ಪ್ರತಿ ಅನುದಾನವನ್ನು ಅದನ್ನು ಅಗತ್ಯಪಡಿಸುವ ಕಾರ್ಯಾಚರಣೆಯೊಂದಿಗೆ ಹೆಸರಿಸಬೇಕು. ಆ ದಾಖಲೆಯೇ ಮುಂದಿನ ಬದಲಾವಣೆಯನ್ನು ಪ್ರಯೋಗವಲ್ಲ, ಪರಿಶೀಲನೀಯವಾಗಿಸುತ್ತದೆ.

ಸಂಪಾದಿಸುವಾಗ ಕನ್ಸೋಲ್ ಪ್ರವೇಶವನ್ನು ಲಭ್ಯವಾಗಿಡಿ, ಏಕೆಂದರೆ ಪ್ರಾರಂಭದಲ್ಲಿ ವಿಫಲವಾಗುವ ಘಟಕವನ್ನು ದೂರದಿಂದ ಸರಿಪಡಿಸುವುದು ಕಷ್ಟ. ಬದಲಾವಣೆಯನ್ನು ಪೂರ್ಣ ಎಂದು ಹೇಳುವ ಮೊದಲು ಮರುಪ್ರಾರಂಭ ಮತ್ತು ಪೂರ್ಣ ಮರುಬೂಟ್ ಅನ್ನು ಪರೀಕ್ಷಿಸಿ. ಮರುಪ್ರಾರಂಭವನ್ನು ತಾಳಿಕೊಳ್ಳುವ ಘಟಕವೂ ನೆಟ್‌ವರ್ಕ್ ಮೇಲೆ ಬರುವ ಮೊದಲು ವಿಫಲವಾಗಬಹುದು.

ಯಶಸ್ಸು ಎಂದರೆ ಅರ್ಥಮಾಡಿಕೊಂಡ ಕನಿಷ್ಠ-ಅಧಿಕಾರದ ಜೀವನಚಕ್ರ, root ಅಲ್ಲದ ಹೆಸರಿನಲ್ಲಿ ಆಕಸ್ಮಿಕವಾಗಿ ಚಲಿಸುತ್ತಿರುವ ಪ್ರಕ್ರಿಯೆಯಲ್ಲ.